یک آسیبپذیری امنیتی بحرانی در پلتفرم هوش مصنوعی متنباز Langflow، با شناسه CVE-2026-33017 و امتیاز CVSS برابر با ۹.۳، تنها ۲۰ ساعت پس از انتشار عمومی گزارش آن مورد بهرهبرداری فعال قرار گرفت. این نقص امنیتی که ترکیبی از فقدان احراز هویت (missing authentication) و تزریق کد (code injection) است، به مهاجمان اجازه میدهد با ارسال یک درخواست HTTP ساده، کد دلخواه خود را با تمام سطح دسترسی فرآیند سرور اجرا کنند. شرکت امنیتی Sysdig اعلام کرد که مهاجمان بدون نیاز به کد اثبات مفهوم (PoC) عمومی، مستقیماً از روی متن گزارش آسیبپذیری، ابزار بهرهبرداری ساخته و اینترنت را برای یافتن نمونههای آسیبپذیر پویش کردند. اطلاعات سرقتشده شامل کلیدها و اعتبارنامهها (credentials) بوده که دسترسی به پایگاههای داده متصل و احتمال به خطر افتادن زنجیره تأمین نرمافزار (software supply chain) را فراهم کرده است.
این رویداد بخشی از یک روند نگرانکننده است که در آن میانه زمان بهرهبرداری (median time-to-exploit) از ۷۷۱ روز در سال ۲۰۱۸ به چند ساعت در سال ۲۰۲۴ کاهش یافته است. بر اساس گزارش Rapid7، میانه زمان از انتشار آسیبپذیری تا درج آن در فهرست KEV سازمان CISA از ۸.۵ روز به ۵ روز رسیده، در حالی که سازمانها بهطور میانگین ۲۰ روز برای استقرار وصلههای امنیتی (patches) نیاز دارند. به کاربران توصیه میشود فوراً به نسخه وصلهشده ارتقا دهند، متغیرهای محیطی و اعتبارنامهها را بازنشانی کنند، و دسترسی شبکه به نمونههای Langflow را از طریق فایروال یا پروکسی معکوس (reverse proxy) با احراز هویت محدود سازند.
کلمات کلیدی : آسیبپذیری Langflow, CVE-2026-33017, تزریق کد هوش مصنوعی, بهرهبرداری zero-day, امنیت پلتفرم متنباز, زنجیره تأمین نرمافزار
نظر شما چیست؟
خوشحال میشویم نظر شما را بدانیم. نظری بنویسید.